O Sigstore tornou a assinatura de código utilizável ao eliminar as chaves de longa duração

A assinatura de código aberto tinha uma armadilha de usabilidade: chaves de longa duração precisavam ser criadas, protegidas, rotacionadas, publicadas e confiáveis. O anúncio da Linux Foundation em 2021 dizia que muito poucos projetos de código aberto assinavam artefatos de lançamento, em grande parte porque o gerenciamento de chaves e a verificação eram difíceis demais.

O movimento inteligente do Sigstore foi fazer a identidade e a transparência fazerem o trabalho. Um mantenedor ou sistema de CI prova uma identidade OIDC ao Fulcio, recebe um certificado de curta duração, assina uma vez, descarta a chave privada e deixa uma entrada pública no Rekor que os verificadores podem auditar depois.

Isso mudou a assinatura de um ritual privado de manuseio de segredos para uma trilha pública de evidências. O projeto é apoiado pela OpenSSF sob a Linux Foundation e permanece gratuito e de código aberto, com ferramentas para lançamentos, contêineres, binários, SBOMs e atestações.

Substituir a custódia de chaves por identidade registrada em log

As chaves efêmeras removeram o fardo operacional que impedia os mantenedores de assinar lançamentos.

O OIDC reutilizou identidades que desenvolvedores e sistemas de CI já tinham, em vez de criar outro sistema de contas.

O Rekor tornou os eventos de assinatura auditáveis publicamente, de modo que a confiança não ficava escondida em um README ou keyserver.

A infraestrutura pública gratuita de bem comum tornou a adoção barata para pequenos projetos de código aberto.

Um padrão de segurança se espalha mais rápido quando remove a cerimônia mais difícil, em vez de pedir a cada mantenedor que se torne um especialista em gerenciamento de chaves.

O Sigstore tornou-se um bloco de construção central da cadeia de suprimentos de software. Seu padrão agora se conecta com Cosign, Fulcio, Rekor, SBOMs e atestações in-toto, dando aos consumidores de pacotes uma trilha de origem verificável sem forçar os mantenedores a proteger chaves de assinatura permanentes.